Un scan de vulnérabilités se déroule généralement en plusieurs étapes bien définies. Tout commence par la phase de planification, où les objectifs, la portée et les systèmes à analyser sont identifiés. Cette étape permet de définir les ressources à scanner (applications web, réseaux, serveurs, etc.). Ensuite, la phase de découverte est lancée, où des outils automatisés explorent les systèmes pour identifier les actifs exposés et collecter des informations sur les services en fonctionnement, les ports ouverts, et les versions des logiciels. Vient ensuite la phase d'analyse : le scan compare les systèmes à une base de données de vulnérabilités connues (comme les CVE) pour détecter les failles potentielles, telles que des configurations incorrectes, des logiciels obsolètes ou des vulnérabilités non corrigées. Une fois l'analyse terminée, on passe à la phase de rapport. Un document détaillé est produit, qui résume les vulnérabilités découvertes, leur criticité et des recommandations pour les corriger. Contrairement au pentest, aucune exploitation active des failles n'est réalisée ici, mais le rapport fournit un plan d'action pour améliorer la sécurité des systèmes analysés.